UDP-kapselointi

Verkko-osoitteen muutosta käytetään laajasti Internetissä yhteyksien jakamiseen usean käyttäjän kesken. Monissa liityntäyhteyksiä tarjoavien tietoliikenneoperaattoreiden verkoissa, julkisissa langattomissa lähiverkoissa ja yritysten lähiverkoissa käytetään verkko-osoitteen muunnosta, mutta myös mobiilioperaattorit käyttävät verkko-osoitteen muunnosta GPRS-tilaajiensa Internet-yhteyksissä.

Verkko-osoitteiden muunnosta käyttävistä verkoista estyy Internetiin suuntautuva liikenne niiltä käyttäjiltä, jotka käyttävät L2TP- tai IPsec-protokolliin perustuvia VPN- ratkaisuja, tai joiden liikenne on suojattu käyttäen IPsec-protokollan tunnelitilaa [40].

Liikennöinti verkko-osoitteen muunnoksessa IP-pakettien otsikkokenttiä muutetaan, jolloin pakettien autentikoitu osa muuttuu, eikä paketeissa oleva autentikointisumma vastaa alkuperäisen paketin summaa. Autentikointisumman muuttuessa paketin vastaanottaja hylkää sen, koska paketin sisäiset tiedot ovat muuttuneet ja paketin luottamuksellisuus on vaarantunut. IETF on ratkaissut tämän ongelman määrittelemällä menetelmän, jolla IPsec ESP-protokollan liikenne kapseloidaan UDP-pakettien sisään.

Toteuttamalla UDP-kapselointi IETF:n määrittelemällä tavalla, voidaan sekä IPsec- liikenne että IPsec-protokollalla suojattu L2TP-liikenne välittää verkko-osoitteen muunnoksen tekevän solmun kautta. Ehtona menetelmä toimimiselle on, että verkko- osoitteen muunnoksen tekevä solmu sallii UDP-liikenteen kauttakulun ja sekä liikenteen

Virtuaaliset yksityisverkot

lähettäjä että vastaanottaja tukevat tätä menetelmää. UDP-kapseloinnin käyttö neuvotellaan yhteyden muodostusvaiheessa IKE-protokollan avulla [40].

Kappaleessa 5.2.1.3 käsiteltiin IP ESP:n toimintaa, jota UDP-kapselointi täydentää mahdollistaen pakettien välittämisen verkko-osoitteen muunnoksen suorittavien laitteiden kautta. Kuvassa 1 on kuvattu yksinkertainen IP-paketti, ennen IPsec- protokollien vaikutusta ja kuvissa 4 ja 5 ESP:n käyttöä tunneli-ja kuljetustiloissa. Kuvan 1 paketista on päästy kuvien 4 ja 5 paketteihin käyttämällä ESPrtä ja nyt ESP:n lisäksi hyödynnetään UDP-kapselointia.

UDP-kapseloinnissa IP-paketin uloimman IP-otsikon jälkeen sijoitetaan uusi UDP- otsikko ja uloimmassa IP-otsikossa muutetaan paketin pituus-, protokolla- ja otsikon tarkistussummakenttiä vastaamaan uusia arvoja. Kuvassa 13 on esitetty IP-paketti, jossa on käytetty ESP:tä kuljetustilassa ja joka on UDP-kapseloitu. Kuvassa 14 on vastaavasti käytetty ESP:tä tunnelitilassa ja UDP-kapselointia.

Virtuaaliset yksityisverkot

Salattu Autentikoitu

4--- ►

Alkuperäinen UDP- ESP- TCP- Data ESP-

ESP-IP-otsikko + optiot otsikko otsikko otsikko lopuke autentikolnti

Kuva 12 ESP:n ja UDP-kapseloinnin käyttö kuljetustilassa [36]

Salattu

4--- ► Autentikoitu

4--- ►

Uusi UDP- ESP- Alkuperäinen TCP- Data ESP-

ESP-IP-otsikko otsikko otsikko IP-otsikko otsikko lopuke autentikomti

Kuva 13 ESP:n ja UDP-kapseloinnin käyttö tunnelitilassa [36]

5.2.4 PPTP - Point to Point Tunneling Protocol

PPTP on usean yrityksen muodostaman konsortion kehittämä protokolla, jota käytetään PPP-protokollan tunneloimiseen IP-verkon yli. Osittain samoihin tarkoituksiin voidaan käyttää IETF:n määrittelemää L2TP-protokollaa. Vaikka PPTP ei ole IETF:n määrittelemä protokolla, on se esitetty IETF:n informatiivisena RFC-dokumenttina.

Vaikka PPTP ei ole standardoitu protokolla, on sillä edelleen merkitystä, koska Microsoftin käyttöjäijestelmät tukevat protokollan käyttöä. Microsoft tukee myös muita tunnelointiin käytettäviä protokollia, kuten L2TP:tä.

PPTP-protokolla toimii asiakas-palvelin mallin mukaisesti, jossa päätelaitteen ja kohdeverkossa olevan PPTP-verkkopalvelimen välille muodostetaan yhteys.

Muodostetun PPTP-yhteyden päälle muodostettaan uusi PPP-yhteys, jota käytetään kuten normaalin PPP-yhteyden tapaan. PPP-yhteyden tunneloinnissa PPTP käyttää pohjana GRE:n (General Routing Encapsulation) määrittelemään kapselointia kuitenkin täydentäen sitä. PPTP ei sisällä omia autentikointimenetelmiä, vaan sitä käytettäessä turvaudutaan PPP:n tarjoamiin mekanismeihin. [41] PPTP-protokollan merkitys vähenee

Virtuaaliset yksityisverkot

entisestään, koska Microsoft tukee myös uudempaa L2TP-protokollaa, [42] jonka takia PPTP:n toimintaa ei esitellä tarkemmin tässä työssä.

5.2.5 GRE - Generic Routing Encapsulation

GRE:n suunnittelun tarkoituksena oli tarjota yleinen tapa kapseloida verkkokerroksen protokollaa toisen verkkokerroksen protokollan sisään. Sen sijaan, että suunniteltaisiin jokaista kapseloitavaa protokollaparia varten uudet käytännöt, käytettäisiin yleistä kapselointimekanismia. GRE ei siis taijoa valmista mekanismia tiettyjen protokollien kapselointiin, vaan kuvaa yleiskäyttöisen tavan kapseloida protokollia sisäkkäin. VPN- protokollista sekä IPsec että PPTP käyttävät GRE:n määrittelemää kapselointitapaa.

[43] [44]

Yleisimmässä tapauksessa järjestelmällä on paketti, joka pitää kapseloida ja toimittaa tiettyyn kohteeseen. Tätä välitettävää paketti kutsutaan hyötykuormapaketiksi.

Käytettäessä GRE:tä hyötykuormapaketti kapseloidaan ensin GRE-pakettiin ja sen jälkeen jonkin toisen protokollan mukaiseen pakettiin. Uloimman protokollan tehtävänä on huolehtia koko paketin välityksestä kohteeseen. Kuvassa 15 on esitetty hyötykuormapaketin kapseloimista GRE- ja uloimman protokollan-paketteihin. GRE:tä voidaan hyödyntää peittämällä tietty osa verkosta kahden solmun välillä. Tunneloitaessa liikenne GRE:n mukaisesti kahden pisteen välillä, näyttää tunneli sisimmän protokollan kannalta yhdeltä linkiltä. [43]

Käytännössä GRE:tä voidaan käyttää esimerkiksi tunneloimaan IP-paketteja IP- pakettien sisään, jolloin voidaan yhdistää kaksi fyysisesti erillään olevaa verkkoa siten, että molemmissa on käytössä yksityiset IP-osoitteet ja verkot ovat loogisesti samaa verkkoa. Tämän tyyppisellä IP-tunneloinnilla peitetään yksityisen verkon osoitteita käyttäviltä päätelaitteilta pakettien reititys julkisen Internetin yli. IP-paketteja voidaan kapseloida suoraan toisen IP-paketin sisään, jolloin puhutaan IPinIP-tunneloinnista.

GRE:n tarkoituksena on taijota yleispätevä protokolla vastaavaan tunnelointiin riippumatta sisemmästä tai uloimmasta protokollasta.

Virtuaaliset yksityisverkot

Uloimman GRE- Hyötykuormapaketti protokollan otsikko otsikko

Kuva 14 GRE-protokollan käyttö kapseloinnissa [43]

GRE ei itsessään takaa välitettävälle liikenteelle tietoturvaa, vaan tähän tarkoitukseen on käytettävä sitä tarkoitusta varten suunniteltuja protokollia, kuten IPsec-protokollaa.

5.2.6 SSL-tekniikkaan perustuvat VPN-ratkaisut

SSL-tekniikka (Secure Socket Layer) on Netscape Communications Corporatem kehittämä tekniikka, jolla voidaan suojata Internetissä muodostettavia yhteyksiä. SSL protokolla tarjoaa seuraavia tietoturvapalveluita:

■ Välitettävän tiedon salaaminen

■ Palvelimen autentikointi

■ Välitettävien viestien eheys

■ Asiakkaiden autentikointi TCP/IP-yhteyksillä, joka on vaihtoehtoinen palvelu.

[45]

SSL-tekniikkaa käytetään OSI-mallin mukaisesti sovellus ja yhteystapatasoilla. SSL- yhteys muodostetaan SSL-asiakasohjelman ja yksityisverkossa olevan SSL-palvelimen välille. Tällöin muodostetaan yhteystapakerroksella kahden pisteen välinen TCP/IP- yhteys, jonka päällä SSL-tekniikkaa hyödyntävät sovellukset toimivat. [4] Ainoastaan yksi sovellus voi käyttää yhtä SSL-yhteyttä, joten jokaista eri sovellusta varten on muodostettava oma SSL-yhteys.

SSL-tekniikka on käytössä useimmissa Intemet-selainohjelmissa ja sitä käytetään turvallisia yhteyksiä vaativissa Intemet-sovelluksissa, kuten Intemet-pankeissa ja yhteyksissä yritysten sisäisiin palveluihin, kuten sähköpostiin ja yrityksen tietokantoihin.

Virtuaaliset yksityisverkot

SSL-tekniikalla voidaan taijota IP-protokollaan perustuvien VPN-ratkaisuiden kaltaisia palveluita, mutta SSL ei silti ole VPN-tekniikka termin varsinaisessa merkityksessä, koska SSL ei liitä tietokonetta osaksi yksityisverkkoa, vaan ainoastaan tarjoaa turvallisen yhteyden rajattuihin yksityisverkon palveluihin. [4] SSL-tekniikan pohjalta on kehitetty IETF:n standardoima uusi TLS-protokolla (Transport Layer Security), joka pohjautuu SSL-protokollan versioon 3.0. TLS- ja SSL-protokollien erot eivät ole merkittävät, mutta ne eivät kuitenkaan ole yhteensopivia [46]. TLS-protokolla toimii SSL-protokollan tavoin ja sitä käyttäen voidaan toteuttaa vastaavantyyppisiä VPN- ratkaisuiden kaltaisia palveluita, kuten SSL-protokollallakin.

5.2.7 Tunnelointiprotokollien aiheuttama lisäkuorma

T unnelointiprotokollissa alkuperäisen IP-liikenteen otsikkotietoja muokataan tai otsikoihin lisätään ylimääräisiä kenttiä. Lisäykset johtuvat käytetyistä salausalgoritmeista ja käytettävien tunnelointiprotokollien otsikoista. Näillä lisäyksillä ja muutoksilla voi olla merkittäviä vaikutuksia käyttäjien kokeman palvelunlaatuun, jos käytettävä protokollan tuottama lisäkuorma on suuri ja jos tietoliikenneyhteyden kaistanleveys on kokonaan käytössä. Tällaisessa tapauksessa otsikkokenttien lisäys on pois välitettävästä hyötykuormasta, jolloin käyttäjän havaitsema tiedonsiirtonopeus alenee. Käytettävien IP-pakettien koko vaikuttaa lisäysten vaikutuksen merkittävyyteen.

Käytettäessä pieniä paketteja, on lisäys suhteellisesti suurempi, kuin isoilla paketeilla.

Käytettäessä 1500 tavun IP-paketteja on IPsec-protokollan aiheuttama lisäkuorma 1,5 - 7 % koko liikenteen määrästä. [47] Jos yhteyden koko kapasiteettia ei käytetä, vaikuttaa tunnelointiprotokollan käyttö ainoastaan välitettävän liikenteen määrään, mutta ei käyttäjän kokemaan laatuun.

Pakettikytkentäisissä matkapuhelinverkoissa pullonkaula kaistanleveyden suhteen on radioverkko, jonka tiedonsiirtonopeuden mukaan koko yhteyden nopeus määräytyy.

Langattomissa lähiverkoissa pullonkaulana toimii usein liityntäverkko, jonka kaistanleveys on radioverkon kaistanleveyttä huomattavasti alhaisempi. Liityntäverkon

Virtuaaliset yksityisverkot

kaistanleveys on usein langattoman lähiverkon kaistanleveyttä alhaisempi kodeissa olevissa verkoissa, joissa liityntäyhteytenä on usein DSL-yhteys tai muu vastaava yhteys. Myös Hot Spot verkoissa käytetään myös liityntäyhteyksiä, joiden kaistanleveys on radioverkon kaistanleveyttä alhaisempi. Tämän ongelman merkitys kasvaa entisestään, kun samaa verkkoa käyttää useampi käyttäjä. Usean käyttäjän tilanteessa radioverkon kapasiteetti on riittävä, mutta molempien käyttäjien liikenne välitetään verkon ulkopuolelle samalla liityntäyhteydellä. Yrityksen lähiverkkoihin liitettävissä langattomissa verkoissa tämä ongelma ei ole merkittävä, koska osa käytettävistä verkkopalveluista sijaitsee lähiverkossa ja liityntäyhteyden kapasiteetin on oltava riittävä riippumatta tavasta, jolla yksittäiset päätelaitteet liitetään lähiverkkoon.

Tietoliikenteen hyötysuhteen lisäksi tunnelointiprotokollien aiheuttama lisäkuorma voi vaikuttaa yhteyden käytöstä aiheutuviin kustannuksiin. Pakettikytkentäisissä matkapuhelinverkoissa dataliikenteen laskutus on usein toteutettu liikennemäärään pohjautuvasti. Kuten kappaleessa 2.1.2 ja 2.1.3 on esitetty, pakettikytkentäisissä matkapuhelinverkoissa laskutus tapahtuu SGSN ja GGSN-palvelimissa operaattorin runkoverkossa. Jos tunnelointiprotokollaa käytetään päätelaitteen ja yritysverkon välillä, eli liikenne välitetään tunneloituna operaattorin runkoverkossa, lisää se liikennemäärään pohjautuvia kustannuksia. Jos käyttäjien liikenne tunneloidaan vasta laskutusta suorittavien palvelimien jälkeen, ei tunnelointiprotokollan käyttö vaikuta suoraan kustannuksiin.

5.3 Mobile IP ja VPN

Mobile IP on IETFm määrittelemä protokolla, jolla voidaan toteuttaa saumaton liikkuvuus IP-aliverkkojen ja tiedonsiirtokanavien välillä. Mobile IP-protokolla määrittelee IP-protokollaan laajennuksen, jonka avulla IP-paketteja voidaan reitittää liikkuvalle päätelaitteelle. [48] Tässä yhteydessä liikkuvuudella tarkoitetaan päätelaitteen liikkumista IP-aliverkkojen välillä. Päätelaitteen liikkuvuus yhden langattoman verkon sisällä on toteutettu verkkokohtaisilla ratkaisuilla OSI-mallin Virtuaaliset yksityisverkot

siirtoyhteys ja fyysisellä kerroksella. Mobile IP-protokolla toimii verkkokerroksella ja on siis erillinen langattomien verkkojen liikkuvuudenhallinnasta.

Mobile IP-arkkitehtuuri muodostuu Mobile IP kotiagenteista (Home Agent, HA), huoltoagenteista (Foreign Agent, FA) ja asiakasohjelmistoista. Arkkitehtuurissa käyttäjälle on määritelty yksi kotiverkko, jossa käyttäjän kotiagentti sijaitsee. Kuvan 15 mukaisessa arkkitehtuurissa yksi liikkuva päätelaite siirtyy kolmen eri verkon välillä.

Ensimmäinen verkko on käyttäjän kotiverkko, jossa toimii Mobile IP-kotiagentti.

Käyttäjän siirtyessä vierasverkkoon, jossa on käytössä Mobile IP-vierasagentti, ottaa päätelaite käyttöön vierasagentin huolto-osoitteen (COA, Care Of Address) ja ilmoittaa sen kotiagentille. Toisessa siirtymässä käyttäjä siirtyy vierasverkosta toiseen. Uudessa vierasverkossa ei ole käytössä Mobile IP-vierasagenttia, jolloin päätelaite ottaa käyttöön paikallistavan huolto-osoitteen, joka on käytännössä päätelaitteen verkosta saama IP- osoite.

Virtuaaliset yksityisverkot

Mobile IP Kotiagentti Mobile IP

Kotiverkko Vierasverkko 1

Mótale IP Vieraili jaagermi

Vierasverkko 2

Palvelin

Kuva 15 Mobile IP arkkitehtuuri

Mobile IP-palvelun tarjoavissa verkoissa on vierasagentti, jonka tehtävänä on huolto- osoitteiden jako omalla alueellaan vieraileville liikkuville päätelaitteille. Huolto-osoite kertoo päätelaitteen sen hetkisen sijainnin ja se vaihtuu joka kerta, kun päätelaite liikkuu uuden vierasverkon alueelle. Päätelaitteen kotiverkossa on kotiagentti, jolle päätelaite ilmoittaa vierasverkon rekisteröitymisen yhteydessä saamansa huolto-osoitteen. Näin kotiagentti aina tietää päätelaitteen senhetkisen sijainnin. Tavallisesti sekä koti- että vierasagenttina toimii normaali reititin, mutta myös erillisiä Mobile IP-palvelimia käytetään. [4]

Kuvan 16 mukaisessa arkkitehtuurissa voidaan kuvitella tilanne, jossa liikkuva päätelaite on yhteydessä Internetiin kytkettyyn palvelimeen. Liikkuvan päätelaitteen siirtyessä verkkojen välillä kotiagentti ylläpitää tietoa liikkuvan päätelaitteen sijainnista.

Liikkuvan päätelaite tunneloi paketit kotiagentille, joka lähettää paketit alkuperäiselle kohteelle julkisen Internetin kautta. Jos kuvassa oleva palvelin haluaa muodostaa Virtuaaliset yksityisverkot

yhteyden liikkuvaan päätelaitteeseen, se lähettää paketit liikkuvan päätelaitteen kotiosoitteeseen, jolloin kotiagentti vastaanottaa paketit ja tunneloi ne liikkuvan päätelaitteen ilmoittamaan huolto-osoitteeseen. [4]

Mobile IP ratkaisee liikkuvuuden ongelman ottamalla vakituisen IP-osoitteen rinnalle käyttöön huolto-osoitteen. Huolto-osoite kertoo päätelaitteen senhetkisen sijainnin ja se vaihtuu joka kerta, kun päätelaite siirtyy IP-aliverkosta toiseen. Huolto-osoitteen vaihtuessa päätelaite ilmoittaa kotiagentille uuden huolto-osoitteen, joka on joko käytettävässä IP-aliverkossa olevan Mobile IP vierasagentin IP-osoite tai jos vierasagenttia ei ole, niin päätelaitteen saama IP-osoite. [4] Mobile IP-protokolla toimii siten, että kotiagentti pitää yllä tietoa päätelaitteiden huolto-osoitteista ja ohjaa päätelaitteilla saapuvat paketit päätelaitteiden huolto-osoitteeseen. Mobile IP-tekniikkaa käyttävät päätelaitteet ovat siten saavutettavissa muuttumattomasta IP-osoitteesta, vaikka päätelaite liikkuukin IP-aliverkkojen välillä.

Mobile IP-tekniikkaa voidaan hyödyntää VPN-ratkaisuiden kanssa taijoamalla käyttäjille katkeamattomat ja kulloinkin parhaat mahdolliset yhteydet yrityksen tietoverkkoon. Päätelaitteessa voi olla mahdollista käyttää useita eri yhteystekniikoita, kuten mobiiliverkkojen yhteyksiä, langattomia lähiverkkoja, kiinteitä lähiverkkoja ja kiinteitä laajakaista yhteyksiä. Mobile IP-tekniikan avulla käyttäjän ei tarvitse muodostaa kuin yksi VPN-yhteys yrityksen tietoverkkoon ja Mobile IP:n ansiosta yhteys säilyy, vaikka käytettävä liityntätekniikka vaihtuisikin. Mobile IP voi valita käytettävissä olevista yhteyksistä kulloinkin parhaan mahdollisen yhteystekniikan, eikä käyttäjän tarvitse muodostaa yhteyttä uudelleen yhteystekniikan vaihtuessa.

5.4 Päätelaitteet käytettäessä virtuaalisia yksityisverkkoja

Päätelaitteet ovat tärkeässä roolissa käsiteltäessä mobiiliyhteyksiä yrityksen tietoverkkoon, koska päätelaitteet määrittelevät mitä ratkaisuja ja mitä tekniikoita on mahdollista käyttää. Päätelaitteiden ominaisuuksista riippuu sekä palveluiden

Virtuaaliset yksityisverkot

käytettävyys että sen tekniset mahdollisuudet tietoturvan ja verkkoteknologioiden osilta.

Erityyppiset päätelaitteet mahdollistavat erityyppisten sovellusten ja verkkoyhteyksien käytön. Tässä kappaleessa jaetaan päätelaitteet kolmeen eri luokkaan: kannettavat tietokoneet, kämmentietokoneet ja älypuhelimet ja esitellään niiden käyttömahdollisuuksia yritysverkkojen mobiiliyhteyksien kannalta.

5.4.1 Kannettava tietokone

Kannettavat tietokoneet ovat teknisiltä ominaisuuksiltaan ja lisälaitteiden liitäntämahdollisuuksiltaan vertailulaitteista tehokkaimpia ja monipuolisimpia.

Kannettavaan tietokoneeseen on mahdollista liittää erilaisia lisälaitteita, joiden avulla voidaan muodostaa mobiiliyhteyksiä useiden langattomien verkkojen kautta.

Kannettaviin tietokoneisiin voidaan liittää langattomien lähiverkkojen käytön mahdollistava WLAN-kortti ja uusimmissa kannettavissa tietokoneissa on integroitu WLAN-radio, jonka avulla langattomia lähiverkkoja voidaan käyttää ilman lisälaitteita.

Matkapuhelinverkkojen data-yhteyksiä voi hyödyntää kannettavalla tietokoneella liittämällä puhelin tai PCMCIA-kortti (Personal Computer Memory Card International Association) kannettavaan tietokoneeseen. GPRS-puhelimia voi liittää kannettavaan tietokoneeseen infrapuna- tai bluetooth-tekniikalla, tai sopivalla kaapelilla. EDGE- tai UMTS-kykyisiä puhelimia tai kortteja ei ole vielä Suomessa markkinoilla, mutta käyttöönoton ja käytön kannalta ne ovat vastaavien GPRS-päätelaitteiden kaltaisia.

5.4.2 Kämmentietokoneet

Kämmentietokoneet eli PDA-laitteet (Personal Digital Assistant) ovat kannettavia tietokoneita huomattavasti pienempiä laitteita, joiden prosessoriteho, muistikapasiteetti ja lisälaitteiden liitäntämahdollisuudet voivat rajoittaa niiden käytettävyyttä.

Kämmentietokoneissa on usein älypuhelimia suurempi näyttö ja niitä on tarkoitus käyttää kahdella kädellä. Useisiin kämmentietokoneisiin on mahdollista liittää lisälaitteita, kuten GPRS-puhelin tai langattomien lähiverkkojen käytön mahdollistava

Virtuaaliset yksityisverkot

WLAN-kortti. Nämä lisälaitteet mahdollistavat mobiiliyhteyden muodostamisen yritysverkon ja kämmentietokoneen välille.

Kämmentietokoneiden käyttö] äijestelmät ovat usein normaaleissa tietokoneissa käytettävien käyttöjäijestelmien karsittuja versiota, joten niiden ominaisuudetkin ovat rajallisemmat. Kämmentietokoneissa käytetään yleisesti seuraavia käyttö]äijestelmiä:

Windows Mobile 2003, Palm OS, Symbian OS ja Linux-käyttöjäijestelmään perustuvat kämmentietokoneille tarkoitetut käyttöjärjestelmät. Käyttöjärjestelmän tavoin myös asennettavien ohjelmistojen tulee olla kyseistä kämmentietokonetta varten suunniteltuja.

[48]

5.4.3 Älypuhelimet

Älypuhelimilla tarkoitetaan kehittyneitä matkapuhelimia, jotka mahdollistavat normaalia matkapuhelinta monipuolisempien sovellusten käytön ja uusien sovelluksien asentamisen päätelaitteeseen. Älypuhelimissa on usein avoin käyttöjärjestelmä, joka mahdollistaa uusien sovellusten asentamisen puhelimeen, jolloin puhelimen resurssit voidaan hyödyntää monipuolisesti. [50]

Älypuhelimissa käytetään osittain samoja käyttöjärjestelmiä, joita käytetään kämmentietokoneissa, kuten: Microsoft Windows Mobile 2003, Palm OS, Symbian OS.

Myös muita laitevalmistajakohtaisia käyttöjärjestelmiä käytetään. [50]

5.5 Päätelaitteiden tietoturva

Käytettävät päätelaitteet voivat vaikuttaa merkittävästi koko VPN-ratkaisun tietoturvaominaisuuksiin, koska käyttöjärjestelmät ja laitteiden fyysiset ominaisuudet vaikuttavat mahdollisuuksiin käyttää eri ratkaisuja ja ohjelmistoja.

Päätelaitteen tietoturvaominaisuudet koostuvat päätelaitteessa käytetyn käyttöjärjestelmän tarjoamista tietoturvaominaisuuksista ja yhteensopivuudesta

Virtuaaliset yksityisverkot

tietoturvaprotokollien kanssa. Lisäksi tietoturvaominaisuuksiin vaikuttavat päätelaitteeseen liitettävät lisälaitteet, kuten GPRS- tai WLAN-radiot tai lisälaitteina kiinnitettävät tunnistuslaitteet, kuten älykorttien lukijat. Päätelaitteen tietoturva ei siis ole riippuvainen suoranaisesti päätelaitteen tyypistä, vaan päätelaitteen liitäntämahdollisuuksista ja päätelaitteen käyttöjärjestelmän tietoturvaominaisuuksista.

Älypuhelimissa ja kämmentietokoneissa yleisimmin käytetyt käyttöjärjestelmät, kuten Microsoft Windows Mobile 2003, Palm OS ja Symbian OS tukevat VPN-ratkaisuiden käytön mahdollistavaa tietoturvaprotokollaa kuten IPsec tai PPTP [51,52,53]. Koska älypuhelimien käyttöjäijestelmät VPN-yhteyksissä käytettyjä tietoturvaprotokollia, on niille mahdollista toteuttaa VPN-asiakasohjelmistoja joita on jo saatavilla. [54] IPsec- tai PPTP-protokollia käyttävien asiakasohjelmistojen saatavuus älypuhelimille mahdollistaa samojen VPN-ratkaisuiden käytön sekä kannettavilla tietokoneilla että älypuhelimilla ja kämmentietokoneilla.

Virtuaaliset yksityisverkot

6 YRITYSVERKON MOBIILIYHTEYKSIEN ARVIOINTI

Arvioitaessa eri tapoja muodostaa langattomia yhteyksiä yrityksen tietoverkkoon, on huomioitava useita näkökulmia, jotka vaikuttavat yritysten tekemiin päätöksiin.

Turvallisten jäijestelmien ja yhteyksien suunnittelulla ei voida saavuttaa äärimmäistä turvallisuutta, eikä täydellistä käytettävyyttä, sillä kaikissa tapauksissa joudutaan tekemään kompromissi turvallisuuden ja käytettävyyden välillä. Pyrkimällä äärimmäiseen turvallisuuteen jäijestelmä muodostuu käyttökelvottomaksi, mutta toisaalta jäijestelmän suunnittelu käyttäjien ehdoilla saattaa johtaa tiedon ja tietoliikenteen luottamuksellisuuden vaarantumiseen alhaisten tietoturvakäytäntöjen johdosta. Sama logiikka pätee myös järjestelmän aiheuttamiin kustannuksiin, koska tietoturvan parantaminen tai käytettävyyden kehittäminen kasvattavat kustannuksia, mutta lisäävät samalla palvelun käytöllä saavutettavia hyötyjä.

Ratkaisuiden arviointiprosessi on monimutkainen, koska vaatimukset ja käytettävissä olevat resurssit vaihtelevat yrityskohtaisesti. Yrityskohtaisista vaatimuksista ja resursseista johtuen ratkaisuiden keskinäistä paremmuutta ei voida määritellä yleispätevästi eikä yksiselitteisesti. Tässä kappaleessa on asetettu joukko kriteerejä, joita voidaan käyttää eri ratkaisuiden arviointiin niitä hankkivan yrityksen näkökulmasta.

Arvioinnin perusteella voidaan määritellä eri ratkaisuiden vahvuudet ja heikkoudet.

Kappaleen lopussa käsitellään eri ratkaisuja tietoliikenneoperaattorin näkökulmasta.

Yritysverkon mobiiliyhteyksien arviointi

Vaatimusten määrittely

Vaihtoehtojen selvitys

Arviointi

Valinta

Kuva 16 Mobiiliyhteysratkaisun valintaprosessi asiakasyrityksen kannalta

Kuvassa 16 on esitetty kaaviona prosessi, jonka mukaan mobiiliyhteysratkaisua hankkiva yritys voi edetä tarpeen havaitsemisesta ratkaisun käyttöönottoon.

Ensimmäisessä vaiheessa yritys määrittelee ne tarpeet, joita täyttämään uutta ratkaisua ollaan hankkimassa. Määritellyistä tarpeista voidaan johtaa asetettavat vaatimukset, jotka toimivat arviointiprosessin lähtökohtana. Toisessa vaiheessa yritys selvittää ratkaisuja myyvien yritysten taijoamia vaihtoehtoisia tuotteita, jotka ovat myöhemmin arvioinnin kohteena. Tässä vaiheessa kerätään lista tuotteista, jotka mahdollisesti täyttävät yrityksen asettamat vaatimukset. Kolmannessa vaiheessa yritys arvioi vaihtoehtoisia tuotteita omien vaatimustensa pohjalta käyttäen tiettyjä kriteerejä.

Arvioinnin tuloksena saadaan selkeä kokonaiskuva eri ratkaisuiden soveltuvuudesta yrityksen tarpeisiin. Arviointi prosessi päättyy valintavaiheeseen, jossa yritys joko

Yritysverkon mobiiliyhteyksien arviointi

valitsee yhden tai useampia ratkaisuja hankittavaksi tai päätyy lopputulokseen, jossa mikään tuotteista ei täytä asetettuja vaatimuksia. Jos mikään vaihtoehdoista ei täytä vaatimuksia, voidaan prosessia jatkaa alentamalla vaatimuksia ja tekemällä toinen arviointi uusiin vaatimuksiin pohjautuen.

6.1 Arvioinnissa käytetyt kriteerit

Yritysverkon mobiiliyhteyksien arviointi niitä käyttävän yrityksen kannalta voidaan jakaa kolmeen eri luokkaan, jotka ovat tietoturva, kustannukset ja yrityksen ja

loppukäyttäjän kokema hyöty.

Tietoturva

Yrityksen * mobiiliyhteys- ratkaisu

Kustannukset Yrityksen ja loppukäyttäjän kokema hyöty

Kuva 17 Yrityksen mobiiliyhteysratkaisuiden arviointi

Kuvassa 17 esitetään, miten kolme näkökulmaa suhtautuvat toisiinsa ja erilaisiin mobiiliyhteysratkaisuihin. Kaikkia olemassa olevia ratkaisuja voidaan arvioida käyttäen näitä kolmea kriteeriluokkaa, jotka ovat keskenään vaihdannaisia. Tietoturvan tason parantaminen nostaa myös luultavasti kustannuksia ja voi vaikuttaa samalla Yritysverkon mobiiliyhteyksien arviointi

loppukäyttäjän kokemuksen laskemiseen. Myös kustannuksilla ja saavutetuilla eduilla on selkeä yhteys, koska panostamalla ratkaisuun taloudellisesti, saavutetaan enemmän hyötyjä yrityksen ja loppukäyttäjän kannalta.

6.1.1 Tietoturva

Vaikka yritysten tietoturva toteutetaan teknisillä ratkaisuilla, ovat yrityksen sisäiset tietoturvaprosessit merkittävä osa kokonaisvaltaista tietoturvaa. Tässä työssä on tarkoitus arvioida eri ratkaisuja mobiiliyhteyksien toteuttamiseksi, eikä ole tarkoitus käsitellä yrityksen sisäisiä prosesseja. Uuden ratkaisun käyttöönoton jälkeen on tärkeä määritellä prosessit, joiden mukaan tietoliikennepalveluita käytetään.

Ratkaisuiden teknistä tietoturvaa voidaan arvioida seuraavin kriteerein:

■ Salatun yhteyden kattavuus

■ Yhteyden suojauksen ja salauksen tehokkuus

■ Käyttäjien autentikoitavuus ja pääsynhallinta.

Salatun yhteyden kattavuuden avulla tarkastellaan, mitkä osat koko yhteydestä on suojattu, ja missä osissa yhteyttä käyttäjä joutuu luottamaan ulkopuolisten verkkojen tietoturvaan ja verkkojen omistajaan välittäessään dataa kyseisissä verkoissa.

Laajimmillaan salattu yhteys muodostetaan käytettävän päätelaitteen ja kohteena olevan palvelimen välille, jolloin välitettävä liikenne on suojattu koko yhteyden matkalta.

Yhteyden suojaaminen päätelaitteen ja palvelimen välillä ei ole yritysten mobiiliyhteyksissä mielekästä, koska käyttäjät haluavat kommunikoida useiden yrityksen lähiverkossa olevien palvelimien kanssa. Tällöin salattu yhteys muodostetaan käyttäjän päätelaitteen ja yritysverkon ja julkisen verkon liityntäkohdassa olevaan yhdyskäytäväpalvelimen välille. Käytettäessä yhteyden suojausta ainoastaan tietyllä osalla koko yhteydestä, käyttäjien liikenne välitetään yrityksen ulkopuolisen tietoliikenneoperaattorin verkossa suojaamattomana. Tällöin yrityksen on luotettava

Yritysverkon mobiiliyhteyksien arviointi

operaattorin verkon tarjoamiin tietoturvapalveluihin ja verkon turvallisuuteen. Mitä useampia välittäviä tahoja on, sitä suuremman riskin yritys ottaa käyttäessään kyseisiä yhteyksiä.

Yhteyden suojauksen ja salauksen tehokkuudella kuvataan ratkaisuissa käytettävien VPN-ohjelmistojen ja yhteyksien ja muiden tietoturva mekanismien tehokkuutta. Tämä tarkastelu koostuu useista eri tekijöistä, kuten käytetyistä protokollista, salausalgoritmeista ja käytetyistä laitteista ja verkoista.

Käyttäjien autentikoitavuus ja pääsynhallinta käsittelevät verkon toimintaa käyttäjien

Käyttäjien autentikoitavuus ja pääsynhallinta käsittelevät verkon toimintaa käyttäjien

In document Mobile access in corporate intranet (sivua 61-0)